GCP - IAM, Principals & Org Unauthenticated Enum

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Iam & GCP Principals

For more information check:

GCP - IAM, Principals & Org Policies Enum

Is domain used in Workspace?

1. Check DNS records

If it has a google-site-verification record it's probable that it's (or it was) using Workspace: もし**google-site-verification**レコードがあれば、それは（またはそれはかつて）Workspaceを使用している可能性が高いです:

dig txt hacktricks.xyz

[...]
hacktricks.xyz.		3600	IN	TXT	"google-site-verification=2mWyPXMPXEEy6QqWbCfWkxFTcQhyYdwHrOxee1Yeo-0"
hacktricks.xyz.		3600	IN	TXT	"google-site-verification=C19PtLcZ1EGyzUYYJTX1Tp6bOGessxzN9gqE-SVKhRA"
hacktricks.xyz.		300	IN	TXT	"v=spf1 include:usb._netblocks.mimecast.com include:_spf.google.com include:_spf.psm.knowbe4.com include:_spf.salesforce.com include:spf.mandrillapp.com ~all"

If something like include:_spf.google.com も表示される場合、それを確認します（表示されない場合でも、ドメインがWorkspaceに存在するが、gmailをメールプロバイダーとして使用していない可能性があるため、否定するものではありません）。

1. そのドメインでWorkspaceを設定してみる

別のオプションは、そのドメインを使用してWorkspaceを設定してみることです。もしドメインがすでに使用されていると文句を言う（画像のように）場合、それはすでに使用されています！

Workspaceドメインを設定するには、次のリンクに従ってください: https://workspace.google.com/business/signup/welcome

1. そのドメインを使用してメールのパスワードを回復してみる

そのドメインで使用されている有効なメールアドレス（例: [e-mail] または [e-mail]）を知っている場合、https://accounts.google.com/signin/v2/recoveryidentifier でアカウントを回復しようとすることができます。もし試みがエラーを表示せず、Googleがそのアカウントについて何も知らないことを示さない場合、それはWorkspaceを使用しています。

メールとサービスアカウントを列挙する

Workspaceドメインの有効なメールとSAメールを列挙することは、権限を割り当てようとしてエラーメッセージを確認することで可能です。これには、プロジェクトに権限を割り当てる権限が必要です（これはあなたが所有しているものである可能性があります）。

存在を確認するために、権限を付与しない場合でも、serviceAccount のタイプを使用して**user** の場合は**user** を使用できます：

# Try to assign permissions to user '[e-mail]'
# but indicating it's a service account
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:[e-mail]' \
--role='roles/viewer'
## Response:
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: User [e-mail] does not exist.

# Now try with a valid email
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:[e-mail]' \
--role='roles/viewer'
# Response:
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Principal [e-mail] is of type "user". The principal should appear as "user:[e-mail]". See https://cloud.google.com/iam/help/members/types for additional documentation.

サービスアカウントを既知のプロジェクトで列挙するためのより速い方法は、URLにアクセスしようとすることです: https://iam.googleapis.com/v1/projects/<project-id>/serviceAccounts/<sa-email> 例えば: https://iam.googleapis.com/v1/projects/gcp-labs-3uis1xlx/serviceAccounts/[e-mail]

レスポンスが403の場合、SAは存在します。しかし、レスポンスが404の場合、存在しないことを意味します:

// Exists
{
"error": {
"code": 403,
"message": "Method doesn't allow unregistered callers (callers without established identity). Please use API Key or other form of API consumer identity to call this API.",
"status": "PERMISSION_DENIED"
}
}

// Doesn't exist
{
"error": {
"code": 404,
"message": "Unknown service account",
"status": "NOT_FOUND"
}
}

ユーザーのメールが有効な場合、エラーメッセージがタイプが無効であることを示していることに注意してください。これにより、メール [e-mail] が存在することを特権を与えずに発見することができました。

サービスアカウントでも同様のことができます。タイプ user: の代わりに serviceAccount: を使用します：

# Non existent
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:<invalid-sa-name>@<proj-uniq-name>.iam.gserviceaccount.com' \
--role='roles/viewer'
# Response
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: User <invalid-sa-name>@<proj-uniq-name>.iam.gserviceaccount.com does not exist.

# Existent
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:<sa-name>@<proj-uniq-name>.iam.gserviceaccount.com' \
--role='roles/viewer'
# Response
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Principal [e-mail] is of type "serviceAccount". The principal should appear as "serviceAccount:[e-mail]". See https://cloud.google.com/iam/help/members/types for additional documentation.

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！

• **💬 DiscordグループまたはTelegramグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。

• ハッキングのトリックを共有するには、HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してください。